Выдачей электронных подписей сотрудникам в компании занимаются три роли сразу, и закон ни одну из них не назначает: кадровая служба решает, кому какая подпись нужна, собирает согласия и ведёт ЛНА; IT отвечает за носители, криптопровайдер и рабочие места; руководитель или юрист выпускает машиночитаемую доверенность. Свою УКЭП руководитель получает лично в удостоверяющем центре ФНС, рядовой сотрудник — личную УКЭП физического лица в аккредитованном УЦ, а УНЭП для кадровых документов выпускает оператор КЭДО или приложение Госключ. Главное различие, от которого зависит вся схема: подпись нужна только для внутренних кадровых документов или ещё и для действий от имени компании вовне. Во втором случае без МЧД сотрудник подписывать не вправе.
Ниже разобрано, какую подпись кому выпускать, как приказом закрепить ответственного и что записать в положении о КЭДО, чтобы электронные документы приняли при проверке. Показан состав реестра выданных сертификатов, порядок действий при увольнении и при заблокированном PIN-коде, требования к носителю и лицензии КриптоПро CSP. Таблица соответствия документов и видов подписи, образцы заявлений и согласий, разбор МЧД для филиалов, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Кто выдаёт электронную подпись сотрудникам по закону
Электронную подпись выдаёт не работодатель, а удостоверяющий центр. Работодатель организует получение: собирает документы, оплачивает, назначает ответственного и ведёт учёт. Это разграничение важно, потому что с 1 сентября 2023 года сертификаты, где владельцем указан сотрудник, а вторым владельцем юридическое лицо, больше не выпускаются. Осталось два законных способа подписать документ от имени компании: подпись руководителя либо личная УКЭП физического лица плюс машиночитаемая доверенность по статьям 17.2 и 17.3 63-ФЗ.
Для кадровых документов действует отдельный режим. Статья 22.3 ТК РФ разрешает работнику подписывать большую часть документов усиленной неквалифицированной подписью, а часть — простой электронной подписью в информационной системе работодателя. Такую УНЭП работодатель фактически выдаёт сам: через удостоверяющий центр оператора КЭДО или через мобильное приложение Госключ, где сертификат формируется дистанционно по подтверждённой учётной записи на Госуслугах и порядок идентификации описан по шагам. Здесь и появляется вопрос ответственного: кто в компании принимает заявки, проверяет данные, следит за сроками и закрывает доступ при увольнении.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Ответственного за электронные подписи почти никогда не назначают заранее. Пока подписей три, ими занимается бухгалтер, а на сотне сотрудников выясняется, что никто не знает, у кого какая подпись и когда она заканчивается. Заведите приказ об ответственном за организацию работы с электронной подписью до того, как выдадите первые двадцать сертификатов, а не после.»
Виды подписей и источники их выдачи
Один вид подписи на всю компанию не закрывает задачу: у руководителя, кадровика и рядового работника разные роли и разные требования закона. Ниже — соответствие роли, вида подписи и места выпуска.
| Кто подписывает | Вид подписи | Где выпускается | Кто организует выдачу |
|---|---|---|---|
| Руководитель организации, ИП | УКЭП | УЦ ФНС и доверенные лица УЦ ФНС, бесплатно, при личном визите | Руководитель лично, помощь IT с носителем |
| Кадровик, бухгалтер, юрист, действующие от имени компании | УКЭП физического лица плюс МЧД | Аккредитованный коммерческий УЦ | Ответственный по приказу, МЧД подписывает руководитель |
| Работник в кадровом документообороте | УНЭП | УЦ оператора КЭДО или Госключ по правилам постановления Правительства РФ от 01.12.2021 № 2152 | Кадровая служба, администратор системы КЭДО |
| Работник при ознакомлении и подаче заявлений | ПЭП в системе работодателя | Информационная система работодателя, порядок закреплён соглашением и ЛНА | Кадровая служба совместно с IT |
Из таблицы следует практический вывод для кадровика: массовая выдача касается только УНЭП и ПЭП, и именно она полностью в зоне работодателя. УКЭП выдаётся штучно и требует личной идентификации владельца, поэтому планировать её нужно не пакетом на отдел, а по конкретным подписантам.
Внимание: сертификаты, выданные до 31 августа 2023 года на сотрудника с указанием организации, действовали до конца срока, но не позднее 31 августа 2024 года. Сейчас сотрудник подписывает документы от имени компании только личной УКЭП физического лица вместе с МЧД.
Как разделить ответственность между кадрами, IT и юристом
Рабочая схема выглядит так: кадровая служба ведёт содержательную часть, IT — техническую, руководитель и юрист — полномочия. Кадры определяют, кому какая подпись нужна по должности, собирают согласия на обработку персональных данных для выпуска сертификата, готовят уведомления, ведут реестр. IT отвечает за носители, установку и лицензии КриптоПро CSP, настройку браузерного плагина и хранение резервных копий. Юрист или руководитель выпускает МЧД и следит за объёмом полномочий.
Ответственного закрепляют приказом со ссылкой на положение о ведении КЭДО. В приказе разумно назвать не должность вообще, а конкретную роль: кто принимает заявку на выпуск, кто проверяет данные, кто ведёт реестр, кто инициирует аннулирование. При добавлении сотрудника в систему права распределяются технически: в Добыто добавлять сотрудников, назначать роль и выдавать доступы может только пользователь с правами администратора, и этот же человек чаще всего ведёт реестр сертификатов.
Важный нюанс из практики: в положении о переходе на КЭДО указывается, в какой системе ведётся документооборот, какие документы переводятся в электронный вид и какими видами подписи они подписываются. Формально можно перечислить несколько допустимых видов подписи для одного документа, но практика показывает обратное: чем меньше вариантов, тем меньше вопросов от работников. Один вид подписи на одну группу документов снимает основную часть обращений в первые месяцы.
Проверьте сертификат в файле подписи сотрудника
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Нет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Проверка нужна в двух ситуациях: перед тем как принять от работника подписанный файл, и при аудите выданных подписей, когда надо понять, чей это сертификат и до какой даты он действует. Результат показывает владельца, издателя, серийный номер и статус сертификата, а это ровно те поля, которые заполняются в реестре.
Что подготовить до первой выдачи
Технически выпуск УНЭП занимает минуты, но без подготовки система выдаст список сотрудников, которым некуда отправить приглашение. Перед стартом проверьте пять позиций.
- Штатное расписание и оргструктуру. Маршруты подписания строятся по подразделениям и должностям, а не по фамилиям, иначе каждое кадровое перемещение придётся перенастраивать вручную.
- Контактные данные. У каждого работника заполнен хотя бы один канал: электронная почта или мобильный телефон. На него уходит приглашение в систему и код подтверждения. Сотрудники без контактов в выгрузке подсвечиваются как ошибка и кабинет не получают.
- Согласия на КЭДО. Работники, принятые до 31 декабря 2021 года, дают письменное согласие. Тем, у кого до этой даты не было трудового стажа, достаточно уведомления. Отказ от КЭДО не основание для увольнения или иных мер.
- Перечень исключений. Трудовая книжка, акт о несчастном случае на производстве, приказ об увольнении и документы, подтверждающие прохождение инструктажей по охране труда, остаются на бумаге. Подпись для них выдавать не нужно.
- Согласие на обработку персональных данных для выпуска сертификата. Это отдельный документ: удостоверяющий центр получает паспортные данные и СНИЛС. Обработка персональных данных без предусмотренного законом основания даёт штраф по части 1 статьи 13.11 КоАП — от 60 000 до 100 000 рублей на юридическое лицо.
Как организовать выдачу электронных подписей сотрудникам: пошаговая инструкция
- Шаг 1. Составьте матрицу: должность, какие документы подписывает, какой вид подписи нужен, нужна ли МЧД. Матрица становится приложением к положению о КЭДО.
- Шаг 2. Издайте приказ о введении КЭДО и утвердите положение, назовите ответственного за организацию работы с электронной подписью и порядок ведения реестра.
- Шаг 3. Соберите согласия на переход на КЭДО и согласия на обработку персональных данных для выпуска сертификата, зафиксируйте отказы.
- Шаг 4. Выпустите УКЭП подписантам: руководитель идёт в УЦ ФНС лично, кадровик и бухгалтер — в аккредитованный коммерческий УЦ по заявлению и доверенности на получение сертификата.
- Шаг 5. Выдайте работникам УНЭП: через удостоверяющий центр оператора КЭДО прямо в личном кабинете либо через Госключ по подтверждённой учётной записи Госуслуг.
- Шаг 6. Внесите каждую выданную подпись в реестр сертификатов: владелец, вид подписи, удостоверяющий центр, серийный номер, дата выдачи и дата окончания, носитель.
- Шаг 7. Запустите пилотную группу на одном подразделении, отработайте отказы и сбои, только после этого раскатывайте на всю компанию.
Мы закладываем пилотную группу перед раскаткой на всю компанию: в практике Добыто именно на пилоте вылезают несовпадение ФИО в паспорте и в кадровой базе, отсутствие контактов у линейного персонала и неготовность руководителей подразделений согласовывать документы в новом интерфейсе.
Образцы документов для организации выдачи подписей
Комплект закрывает весь цикл от заявки до аннулирования; начинать удобно с согласия на обработку персональных данных, без него удостоверяющий центр не примет заявку.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных для выпуска сертификата ЭП | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
Носители, криптопровайдер и форматы файлов подписи
Техническая часть выдачи начинается с вопроса, где живёт закрытый ключ. Ключи делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ генерирует программный криптопровайдер, токен при этом работает как защищённое PIN-кодом хранилище, а на время подписания ключ попадает в оперативную память компьютера. Неизвлекаемый ключ генерируется внутри криптоядра токена и не покидает его память, скопировать такой ключ нельзя. Для извлекаемых ключей носителю достаточно сертификата ФСТЭК, для неизвлекаемых нужен сертификат ФСБ, иначе подпись не считается квалифицированной.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отсюда практическое правило для IT: массовому персоналу токены не нужны вовсе, они нужны подписантам. Носители с ГОСТ-криптографией — Рутокен ЭЦП 3.0, JaCarta, ESMART Token ГОСТ — закупаются под конкретные роли. У Рутокен ЭЦП 3.0 доступно 128 килобайт защищённой памяти, и в формате CSP на него помещается до 31 контейнера, но реальный объём зависит от того, какие расширения дописал удостоверяющий центр в сертификат.
Версия криптопровайдера определяет, какие ключи вообще получится использовать. КриптоПро CSP 4.0 работает только с извлекаемыми ключами на пассивных носителях. КриптоПро CSP 5.0 R2 добавил работу через библиотеку PKCS#11 и функциональный ключевой носитель с защитой канала. В версии 5.0 R3 режим PKCS#11 сведён в один считыватель, из-за чего перестали ломаться вход в Windows и работа по RDP. Если сотрудник носит токен между рабочими местами, где стоят разные версии провайдера, безопаснее выпускать извлекаемый ключ: неизвлекаемый на старой версии просто не заработает.
Полезно знать: в подписях, выданных удостоверяющим центром ФНС, лицензия на КриптоПро CSP вшита в сертификат и действует ровно столько же, сколько сам сертификат. Отдельно покупать лицензию для этого ключа не нужно, но для чужих ключей и для генерации запросов на своём рабочем месте потребуется полная лицензия.
Файл подписи кадровик видит в трёх расширениях: .sig, .p7s и .sgn. Это один и тот же контейнер CMS, отличается только расширение, и выбирается оно в настройках программы подписания. Отдельно различают присоединённую подпись, где документ упакован внутрь файла, и открепленную, где рядом с документом лежит парный файл подписи. При передаче документов в проверяющий орган открепленную подпись отправляют только вместе с исходным файлом, иначе проверить её невозможно.
Мария Ж, специалист по цифровой подписи и КЭДО: «Расширение файла подписи ничего не говорит о её юридической силе: .p7s и .sig — это один контейнер, просто разные настройки программы. Проблемы начинаются, когда открепленную подпись пересылают без исходного документа. Заведите правило: открепленная подпись всегда уходит парой с файлом, который она подписывает.»
Реестр выданных подписей: что фиксировать
Журнал учёта электронных подписей закон прямо не требует, но без него не получится ни закрыть доступ при увольнении, ни ответить на запрос о том, кто подписал конкретный документ. Минимальный состав строки: ФИО владельца, должность и подразделение, вид подписи, наименование удостоверяющего центра, серийный номер сертификата, дата выдачи и дата окончания, тип носителя и его инвентарный номер, отметка о выдаче МЧД, дата и основание аннулирования.
Отдельная колонка — дата напоминания. Если срок сертификата закончился в день, когда нужно подписать приказ, процесс встаёт минимум на несколько дней: перевыпуск требует повторной идентификации владельца. В Добыто статусы документов и маршруты подписания видны в единой таблице с указанием срока, поэтому зависший документ обнаруживается раньше, чем о нём вспомнит сам работник.
Факт: статья 10 63-ФЗ обязывает владельца обеспечивать конфиденциальность ключа и уведомлять удостоверяющий центр о нарушении конфиденциальности в срок не более одного рабочего дня со дня получения такой информации. Использовать ключ после этого нельзя.
Передача токена с ключом другому работнику — самое частое нарушение при выдаче. Подпись считается принадлежащей владельцу сертификата, поэтому все подписанные документы будут отнесены к нему, кто бы физически ни нажимал кнопку. Для кадровика это означает, что при увольнении подписанта аннулирование сертификата и отзыв МЧД идут в тот же чек-лист, что и обходной лист.
МЧД: кто её подписывает и что делать с филиалами
Машиночитаемая доверенность — это XML-файл, а не привычный документ с печатью; читать его должен алгоритм, а не человек. В МЧД указываются сведения о доверителе, о представителе, перечень полномочий и срок действия. Полномочия берутся из классификатора, размещённого в Единой системе нормативной и справочной информации: у каждого полномочия есть код, дата и уникальный идентификационный номер, и именно код включается в доверенность. Пока классификатор наполнен в основном полномочиями государственных органов, поэтому в переходный период полномочия допускается вписывать текстом.
Подписывает МЧД руководитель организации своей УКЭП. Для налоговых полномочий доверенность бесплатно формируется в сервисе ФНС «Создание и проверка доверенности в электронной форме»: заполняются данные доверителя, представителя и полномочий, сервис отдаёт XML-файл, который прикладывается к подписанным документам.
С филиалами схема сложнее. Филиал не самостоятельное юридическое лицо, поэтому доверенность на его сотрудника выдаёт руководитель головной организации. Если МЧД выдаёт руководитель филиала, который сам действует по доверенности, это передоверие, и оно оформляется через нотариуса: нотариус проверяет паспортные данные нового уполномоченного лица и актуальную выписку из ЕГРЮЛ, подписывает доверенность своей квалифицированной подписью и выгружает её в информационную систему. Техническая готовность нотариусов к этой процедуре различается, в небольших городах она занимает больше времени.
Мария Ж, судебный эксперт по трудовому праву: «В компаниях с филиальной сетью удобнее выдавать МЧД напрямую от головной организации на конкретных сотрудников филиалов, чем строить цепочку передоверия. Каждое передоверие — это визит к нотариусу и отдельный срок, а при смене человека процедуру придётся повторить. Проверьте, какие полномочия реально нужны сотруднику филиала, и ограничьте их сроком, совпадающим со сроком его сертификата.»
Ошибки при выдаче и цена ошибки
Первая ошибка — выдать всем один вид подписи ради простоты. Если работник подписал трудовой договор простой электронной подписью, документ не соответствует статье 22.3 ТК РФ. Нарушение трудового законодательства по части 1 статьи 5.27 КоАП обходится юридическому лицу в 30 000-50 000 рублей, а в трудовом споре такой документ теряет доказательную силу, и подтверждать согласование условий придётся другими средствами.
Вторая ошибка — выпустить сертификат без согласия на обработку персональных данных. Удостоверяющему центру передаются паспортные данные и СНИЛС, и основание на эту передачу нужно письменное. Диапазон санкции по части 1 статьи 13.11 КоАП для юридического лица — от 60 000 до 100 000 рублей, при повторном нарушении сумма растёт.
Третья ошибка — не закрыть подпись при увольнении. Сертификат продолжает действовать до конца срока, МЧД — до конца своего срока, и бывший сотрудник технически сохраняет возможность подписать документ от имени компании. Заявление на аннулирование сертификата подаётся в тот же день, что и приказ об увольнении.
Кейс из практики: в компании со смешанным персоналом кадровая служба перевела на КЭДО весь штат разом, включая работников старшего возраста без корпоративной почты. Приглашения ушли на несуществующие адреса, подписание встало на неопределённый срок. Контакты собрали заново, для части работников указали только мобильный телефон, а тем, кто отказался от перехода, оставили бумажный документооборот. После этого кабинеты активировались, а спорных отказов не осталось.
Лайфхак: если работник не подписал документ в отведённый срок, не переносите дату задним числом. Настройте автозакрытие этапа: система вернёт документ кадровику по истечении срока, и вы решите, подписывать на бумаге или отправить повторно с новой датой.
Забыли PIN-код или потеряли доступ: что делать
PIN-код токена восстановлению не подлежит. При исчерпании попыток носитель блокируется, и если ключ неизвлекаемый, он утрачен вместе с сертификатом: понадобится перевыпуск с повторной идентификацией. Пароль от УНЭП в сервисе КЭДО работник задаёт сам, и здесь сброс делает администратор без перевыпуска сертификата. Это ещё один аргумент выдавать рядовым работникам облачную подпись, а не токен: цена забытого пароля отличается на порядок.
Когда отдельный ответственный за электронные подписи не нужен
До 25 сотрудников и без внешнего электронного документооборота отдельная роль избыточна: хватает руководителя с УКЭП из УЦ ФНС и кадровика, который выдаёт работникам УНЭП в сервисе. Не нужен отдельный ответственный и там, где кадровые документы полностью ведутся на бумаге, а электронная подпись используется только для сдачи отчётности, — эту зону закрывает бухгалтерия. Роль появляется, когда одновременно выполняются три условия: подписантов больше трёх, есть филиалы или обособленные подразделения и есть МЧД с разными наборами полномочий.
Стоимость КЭДО и выпуска подписей сотрудникам
Цена складывается из тарифа на количество сотрудников и из того, нужны ли компании квалифицированные подписи сверх выпускаемых сервисом ПЭП и УНЭП.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 руб. за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 руб. за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 руб. в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в день подключения |
| УКЭП для сотрудника через партнёров-удостоверяющих центров | по запросу | по регламенту центра |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма зависит от численности и от набора функций: кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и персональный менеджер — в «Корпорацию». Состав каждого пакета и правила перехода между тарифами с пропорциональным пересчётом перечислены на странице тарифов Добыто КЭДО.
Отдельная статья расходов, которую не видно в тарифе, — токены и лицензии для подписантов. Считайте её по числу людей с УКЭП, а не по численности штата: подписантов в компании обычно единицы, а не десятки.
Выводы
Единого ответственного за выдачу подписей закон не назначает, поэтому компания распределяет роли сама: содержательную часть ведёт кадровая служба, техническую — IT, полномочия и МЧД — руководитель или юрист. Массово выдаются только УНЭП и ПЭП для кадровых документов, УКЭП выпускается штучно и требует личной идентификации владельца. Реестр сертификатов, приказ об ответственном и перечень видов подписи в положении о КЭДО закрывают основную часть вопросов при проверке.
Мы подключаем компании к КЭДО с выпуском ПЭП и УНЭП для сотрудников внутри сервиса, помогаем собрать комплект ЛНА и настроить маршруты подписания по оргструктуре, чтобы выдача подписей не превращалась в отдельный проект для кадровой службы.
Частые вопросы
Можно ли выдать одну подпись на отдел или на должность
Нет. Сертификат выпускается на конкретное физическое лицо, и подписанные им документы считаются подписанными именно этим человеком. Передача ключа коллеге нарушает статью 10 63-ФЗ об обеспечении конфиденциальности ключа. Если подписывать документы должен заместитель, ему выпускается собственный сертификат и отдельная МЧД со своим набором полномочий.
Что делать, если работник отказывается получать электронную подпись
Работника, принятого до 31 декабря 2021 года, нельзя перевести на КЭДО без его письменного согласия, а отказ не является основанием для увольнения или иных мер. С таким работником документооборот ведётся на бумаге. Для тех, кто принят позже и не имел трудового стажа до этой даты, достаточно уведомления о применении КЭДО.
Сколько сертификатов помещается на один токен
На носителе с 128 килобайтами защищённой памяти в формате CSP размещается до 31 контейнера. Реальное число меньше: объём контейнера зависит от того, какие расширения и цепочки сертификатов дописал удостоверяющий центр, и на один контейнер может уходить порядка 12 килобайт.
Нужна ли МЧД для подписания кадровых документов внутри компании
Нет. МЧД подтверждает полномочия представителя при внешнем электронном взаимодействии от имени организации. Внутренний кадровый документооборот строится на полномочиях по трудовому договору и приказу, а вид подписи определяется статьёй 22.3 ТК РФ и положением о ведении КЭДО.
Чем отличается облачная подпись от подписи на токене при массовой выдаче
У облачной подписи закрытый ключ хранится на сервере удостоверяющего центра, отдельное устройство не нужно, подписать документ можно с телефона. Минус — зависимость от надёжности центра и работа только в тех системах, где интегрировано его программное обеспечение. Токен даёт независимость от интеграций, но требует установленного криптопровайдера с лицензией на каждом рабочем месте.
Как быстро можно выдать подпись новому сотруднику
УНЭП в системе КЭДО выпускается за несколько минут: работник получает приглашение, задаёт пароль и подтверждает выпуск. Через мобильное приложение с дистанционной идентификацией сертификат формируется за несколько минут при наличии подтверждённой учётной записи на Госуслугах, а само подписание документа занимает около минуты. УКЭП в аккредитованном удостоверяющем центре потребует личной идентификации и оформляется по регламенту конкретного центра.
Обязательно ли покупать лицензию КриптоПро CSP на каждого сотрудника
Лицензия нужна тем, кто работает с ключами на рабочем месте: генерирует запросы на сертификат, подписывает документы через программу или браузерный плагин. В сертификатах, выданных удостоверяющим центром ФНС, лицензия вшита в сам сертификат и действует в течение его срока. Работникам, которые подписывают кадровые документы облачной УНЭП через личный кабинет или мобильное приложение, криптопровайдер на компьютере не требуется.
